병원정보보안협회(회장 김진응)는 ‘의료기관 내부자 위협 관리 가이드라인 및 사례집’을 발간했다고 14일 밝혔다.

이번 가이드라인은 최근 의료기관 내부 직원이 환자정보를 열람·유출하는 사건이 이어지면서 기존 해킹·외부유출 중심의 보안 대응만으로는 한계가 있다는 문제의식에서 마련됐다. 

내부자에 의한 정보 열람은 시스템 기록상 ‘정상 열람’으로만 남기 때문에 접근통제와 유출방지 체계만으로는 탐지가 어렵다는 게 협회의 설명이다.

가이드라인은 관리의 중심축을 ‘누가 보았는가’에서 ‘그 환자를 볼 업무상 이유가 있었는가’의 검증으로 옮길 것을 제안한다. 

이를 위해 ▲진료관계 기반 접근통제 ▲응급 예외열람(Break Glass) ▲이상행위 탐지 및 접속기록 점검 ▲동적 화면 워터마크 ▲고위험 접근 실시간 알림 등 5대 핵심 통제를 제시했다.

또한 병원 규모와 여건에 따라 필수·권장으로 구분해 단계적으로 적용할 수 있도록 했다.

특히 응급진료 현장의 현실을 반영한 점이 눈에 띈다. 응급실은 신속한 진료를 위해 넓은 조회권한이 불가피한 만큼 접근 차단 보다 사후 감사를 통해 검증하는 방식을 원칙으로 삼았다. 

휴대전화 촬영에 의한 유출에 대해서도 개인기기 전면 금지 대신, 열람자 정보를 화면에 표시하는 워터마크와 반복 조회 탐지를 통한 억지 방안을 권고했다.

실무 적용을 돕기 위해 자가점검 체크리스트 21개 항목, 이상행위 탐지 룰 15종, 국내외 사례 4건을 부록으로 수록했다. 

사례는 회원병원 보호를 위해 의료기관명을 익명 처리했으며, ‘수법–미탐지 원인–시사점’ 구조로 정리해 각 병원이 자체 점검에 활용할 수 있도록 했다.

가이드라인에는 지난 9월 시행된 개인정보 보호법 개정안 내용도 반영됐다. 

통지·신고 대상 사고의 범위가 기존 분실·도난·유출에서 위조·변조·훼손까지 확대된 점을 반영해 내부 직원의 무단 기록 변경이나 과실에 의한 훼손도 사고 대응 절차에 포함하도록 했다.

개인정보보호책임자(CPO)의 대표자·이사회 보고 의무 신설에 맞춰 이행점검 항목도 정비했다.

협회는 이번 가이드라인을 오는 15일부터 16일까지 연세의료원에서 열리는 ‘2026 병원정보보안협회 추계세미나’ 현장에서 인쇄본으로 배포할 계획이다. 

올해 세미나는 ‘AI 디지털 헬스케어 시대의 정보보호’를 주제로 1일차에는 학술, 2일차에는 실습 중심으로 진행된다.

협회는 아울러 향후 협회 홈페이지 멤버십을 통해 이번 가이드라인을 비롯한 협회 발간·발표 자료를 회원에게 공개할 예정이다.

김진응 회장은 “AI와 디지털 전환이 빨라질수록 데이터 접근자에 대한 관리가 더 중요해지는 만큼 이번 가이드라인이 회원병원의 실질적인 점검 도구로 쓰이기를 기대한다”고 말했다.